🇰🇷 한글 설명
Apache HTTP Server 2.4.10 이전 버전의 mod_status 모듈에 Race condition이 존재하여 특정 요청으로 scoreboard 처리 오류 유발 가능. 힙 버퍼 오버플로우로 인한 DoS, 인증 정보 유출, 임의 코드 실행이 가능함.
💡 쉬운 설명
Apache 웹 서버의 상태 확인 기능에서 시간 차이를 이용한 보안 결함. 공격자가 악의적 요청을 보내 서버를 마비시키거나 민감한 정보를 탈취할 수 있음.
🇺🇸 원문 (English)
Race condition in the mod_status module in the Apache HTTP Server before 2.4.10 allows remote attackers to cause a denial of service (heap-based buffer overflow), or possibly obtain sensitive credential information or execute arbitrary code, via a crafted request that triggers improper scoreboard handling within the status_handler function in modules/generators/mod_status.c and the lua_ap_scoreboard_worker function in modules/lua/lua_request.c.
📍 영향받는 시스템
Apache HTTP Server 2.4.0 ~ 2.4.9
⚔️ 공격 벡터
mod_status 엔드포인트에 특별히 조작된 HTTP 요청 전송으로 Race condition 트리거
🛡️ 대응 방법
Apache HTTP Server를 2.4.10 이상으로 즉시 업그레이드
🔧 검증 코드
2.4.10 미만의 버전 번호가 표시되면 취약함. 2.4.10 이상이 나오면 패치 완료.
httpd -v 2>/dev/null | grep -oP 'Apache/\K[0-9.]+' || apache2ctl -v 2>/dev/null | grep -oP 'Apache/\K[0-9.]+'